※上記フォームで送信できない場合は、こちらまでお問い合わせください。
相次ぐ注意喚起を、根拠ある「今やるべき対応」に変えるための道標をお届けします。
この資料でわかること
- 全36ページ／PDF｜2026年10月版。前半は経営層・管理職向けの要点、中盤は実務者向けの技術情報、後半はご利用案内という、立場に応じて読み分けられる構成です。
- なぜ「深刻度順」では回らないのか ― 2025年に公開されたCVEは48,244件（前年比+20.4%）。米NVDは2026年4月に全件の詳細分析を断念。国内組織の脆弱性アラート約1,124万件の分析では、CVSSで「High」以上がユニーク脆弱性の54%を占める一方、SSVCで「今すぐ対応」と判定されたのは全体の0.06%という実データ。
- SSVCによる優先度判定の仕組み ― 悪用の有無（KEV）・技術的影響・資産の重要度をもとに、決定木で「今すぐ対応／計画的対応／様子見」に振り分け、その導出過程を画面で確認できること。72通りの判定パターンを自組織向けに編集可能。
- CVE番号のつかないリスクまで同じ運用に載せる ― EOLやゾンビOSS（実質的に開発が止まったOSS）の検知、SBOMの取り込み、閉域網でのペーストスキャン、AIエージェントとのMCP連携。
- 対応環境とスキャン方法の選び方 ― Linux・Windows、AWS、コンテナなど、管理したい対象から逆引きするスキャン方式の選び方と、スキャン負荷の目安。
- 導入事例4社と選定の決め手、料金プランの考え方、約3か月の導入の進め方、第三者認証とデータ保管、2週間・無償のPoCで確かめられること。
※お問い合わせフォーム入力後、ご登録いただいたメールアドレス宛にダウンロードURLを送付いたします
CSIRT / PSIRTプラン、どちらも100ライセンスからのご案内となります。ライセンスのカウント方法に関するご質問や、小規模でのPoC（導入検証）をご希望の場合は、お気軽にご相談ください。
製品セキュリティ（PSIRT）のご担当者には、PSIRT向け資料のご案内を別途ご用意しています。登録なしで概要だけ知りたい方は、3分で読める「FutureVuls チラシ」（PDF）をご覧ください。
本資料の概要
本資料は、脆弱性管理ツールを比較・検討中の情報システム部門・CSIRT・システムリスク管理部門・製品セキュリティ（PSIRT）の担当者と、その経営層に向けて、脆弱性管理を「検知して終わり」にしないための考え方と、それを実現するFutureVulsの機能を全36ページにまとめたサービス概要資料です。前半では、2025年に公開されたCVEが48,244件（前年比+20.4%）に達し、米NVDが2026年4月に全件の詳細分析を断念したことなど、深刻度ではなくリスクで優先度を決める運用（RBVM）へ移る背景を整理しています。中盤では、SSVCの決定木で優先度を判定する仕組みに加え、EOL・ゾンビOSSの管理、SBOMの取り込み、閉域網でのペーストスキャン、AIエージェントとのMCP連携、対象環境ごとのスキャン方法を解説します。後半には、導入企業4社の事例と選定の決め手、料金プランの考え方、約3か月の導入の進め方、第三者認証とデータ保管場所、2週間・無償のPoCで確かめられることを掲載しています。提供元はフューチャー株式会社のFutureVulsチームとなります。
主要データ（母数・出典・年付き）
- 2025年の1年間に公開された脆弱性（CVE）は48,244件で、前年比+20.4%です（CVE.org「Published CVE Records」）。
- 国内組織で2025年に検知された脆弱性アラート約1,124万件（ユニーク脆弱性45,779件）の分析では、CVSSで「High」以上が54%を占めました（FutureVuls Foresight Vol.3）。
- 同じ分析で、SSVCにより「今すぐ対応（Immediate）」と判定された脆弱性は、検知全体のわずか0.06%でした（FutureVuls Foresight Vol.3）。
- 企業が使うOSS約1.6万件のうち、健全に開発が続いているものは51.5%にとどまります（FutureVuls Foresight Vol.2「ソフトウェアサプライチェーン健全性レポート2026」）。
- FutureVulsのSSVC決定木は、72通りの判定パターンを自組織向けに編集できます（FutureVuls製品仕様）。
- FutureVulsは2022年9月に、商用サービスとして世界で初めてSSVCを搭載しました（当社調べ。フューチャー株式会社プレスリリース、2022年9月14日）。
こんな方におすすめ
- 経営層・CISO ― 投資判断と、経営・監査への説明材料がほしい方。読みどころはP3の結論サマリー、P5の背景、P12〜13の優先度の根拠、P31の第三者認証・データ保管です。
- 情シス・CSIRTの管理職 ― 比較の物差し、全社展開、体制を検討したい方。P7の3問チェック、P10の「何で選ぶか」、P14の全社横断管理、P26〜27の導入事例、P29〜30の料金・導入の進め方。
- インフラ・セキュリティ実務者 ― 対応環境、スキャン方式、日々の運用を知りたい方。P11の自動化、P19の機能マップ、P20〜22の対応環境・閉域網・スキャン負荷、P33のPoC。
- 製造業のPSIRT ― 自社製品の脆弱性とSBOMを管理したい方。P16〜18のCVEの死角・SBOM、P29のPSIRTプラン。製品脆弱性管理に特化したPSIRT向けプランの詳細もご覧ください。
1分でわかる自社の現在地
次の3つに、いまの運用で答えられますか。一つでも答えられなければ、本資料がお役に立てます。
- いま対応中の脆弱性について、「なぜそれを先にやるのか」を第三者に説明できますか？
- サポート切れ（EOL）や更新の止まった部品を、台帳で追えていますか？
- 閉域網・オフラインのサーバまで、脆弱性管理でカバーできていますか？
資料の構成（全4章）
- 結論サマリー（P3） ― FutureVulsが選ばれる3つの理由。「なぜこの優先度か」に答えられること、CVE番号が付かないリスクまで同じ運用に載ること、透明なエンジンとユーザーとの共創で育つこと。
- 01 背景と課題（P4〜7） ― CVE公開件数の推移とNVD・CISAの方針転換、現場で起きている3つのボトルネックとCVEの死角、1分でわかる自社の現在地（3問チェック）。
- 02 解決のアプローチ（P8〜23） ― 6つのプロセスの自動化、比較検討の4つの観点、SSVCによる絞り込みと優先度の導出過程、全社横断管理とガバナンス、AI連携（MCP）、EOL・ゾンビOSSの管理、SBOMの活用、機能マップ、対応環境とスキャン方法の選び方、閉域網での運用、国産・透明・共創。
- 03 活用シーンと導入実績（P24〜27） ― 課題別の使いどころ5パターン、導入事例4社と選定の決め手。
- 04 ご利用案内（P28〜35） ― 料金プランと費用の考え方、約3か月の導入の進め方、第三者認証とデータ保管、サポート、PoCで確認できること、用語集・出典。
導入企業と事例
- 株式会社NTTドコモ ― 脆弱性対応の工数を年間約1万時間削減。｜事例資料（PDF）はこちら
- 株式会社東芝 ― 10種類以上のツールと比較して採用。PSIRT向け機能を共同開発。｜事例資料（PDF）はこちら
- 損害保険ジャパン株式会社 ― 数百万件のアラートを約1,000件へ集約。｜事例資料（PDF）はこちら
- 森永乳業株式会社 ― グループ約70サイトを2名体制で運用。スキャン時間を120分から最短1分に。｜事例資料（PDF）はこちら
上記以外の事例は導入事例一覧でご覧いただけます。
FutureVuls は、フューチャー株式会社が開発・提供するクラウド型（SaaS）脆弱性管理サービスであり、脆弱性の検知・情報収集・優先順位付け・対応管理を自動化します。
よくあるご質問
FutureVulsとは何ですか？
FutureVuls（フューチャーバルス）は、フューチャー株式会社が開発・提供するクラウド型（SaaS）の脆弱性管理ツールです。サーバのOS・ミドルウェア・ライブラリの脆弱性を自動で検知し、SSVCで優先度を判定して、対応タスクの管理と通知までを一元化します。GitHubで1万スター超のOSS脆弱性スキャナ「Vuls」を基盤に、2022年9月には商用サービスとして世界で初めてSSVCを搭載しました（当社調べ）。
FutureVulsの概要資料には何が書かれていますか？
全36ページ（2026年10月版・PDF）で、脆弱性管理の背景と課題、SSVCによる優先度判定の仕組み、EOL・ゾンビOSSやSBOMの管理、閉域網を含む対応環境とスキャン方法、導入企業4社の事例、料金プランの考え方、約3か月の導入の進め方、PoCで確認できることをまとめています。前半は経営層・管理職向け、中盤は実務者向けに読み分けられる構成です。
概要資料は無料ですか？どのように受け取れますか？
無料です。このページのフォームを送信すると、ご登録のメールアドレス宛にダウンロードURLをすぐにお送りします。数分たっても届かない場合は、迷惑メールフォルダをご確認のうえ、お問い合わせフォームからご連絡ください。登録なしで概要を確認したい場合は、3分で読める「FutureVuls チラシ」（PDF）もご利用いただけます。
FutureVulsの料金はいくらですか？
管理対象の台数に応じた年間契約で、台数が増えるほど1台あたりの単価が下がるボリュームディスカウントがあります。CSIRTプラン（自社システムの脆弱性管理）とPSIRTプラン（自社製品の脆弱性管理）のどちらも100ライセンスからのご案内で、具体的な金額は環境に合わせてお見積りします。重要システムや一部の部門から始めて、全社・グループへ広げる段階的な導入も可能です。
FutureVulsはどのOS・環境に対応していますか？
Linux・Windowsのサーバ、AWSなどのクラウド環境、Dockerなどのコンテナに対応しています。スキャナを入れる方式のほか、サーバ構成をテキストで貼り付けるペーストスキャン、製品名・バージョン（CPE）による登録、SBOMファイルの取り込みにも対応しており、ネットワーク機器やアプライアンスのように手を加えられない対象も同じ画面で管理できます。詳しい対応環境は資料のP20〜22をご覧ください。
SSVCとは何ですか？CVSSとどう違いますか？
SSVC（Stakeholder-Specific Vulnerability Categorization）は、脆弱性の深刻度（CVSS）ではなく、悪用されているか（KEV）・技術的影響・資産の重要度をもとに、「今すぐ対応」「計画的に対応」「様子見」といった対応方針を決定木で判定する枠組みです。CVSSが「どれだけ危険か」を示すのに対し、SSVCは「自組織が今どう動くべきか」を示します。FutureVulsの2025年の実測では、CVSSで「High」以上が54%を占める一方、SSVCで「今すぐ対応」と判定されたのは検知全体の0.06%でした（FutureVuls Foresight Vol.3）。
閉域網（インターネットに接続していない環境）でも使えますか？
使えます。閉域網やオフラインのサーバは、サーバ構成をテキストで書き出して貼り付けるペーストスキャンで、接続経路を用意せずに脆弱性を検知できます。SBOMファイルの取り込みにも対応しているため、インターネット非接続の製品・システムも同じ運用に載せられます。
無料トライアルやPoC、デモはありますか？
あります。PoC（導入検証）は2週間・無償で、対象を絞った範囲で、検知される脆弱性の量、SSVCで「今すぐ対応」と判定される件数とその根拠、通知からタスク完了までの日々の運用を、自社のデータで確かめられます。画面と運用の実際を30〜60分で見られるオンラインデモもご用意しています。
導入にはどのくらいの期間がかかりますか？
標準プログラムで約3か月です。キックオフ、スキャナの設定と初回スキャン、通知から対応完了までの一巡、週次確認の定着という流れを、週次のマイルストーンで進めます。クラウド型（SaaS）のためサーバの構築は不要で、既存システムに大きな変更を加えずに始められます。
データはどこに保存され、どのようなセキュリティ認証を取得していますか？
スキャン結果や構成情報などのお客様データは、日本国内のAWSに暗号化して保存されます（メール配信など一部の機能では米国所在のサービスを利用）。解約後90日で削除されます。提供部門はISO/IEC 27001（情報セキュリティ）とISO/IEC 27017（クラウドセキュリティ）の認証を取得しています。
SBOMやPSIRT（自社製品の脆弱性管理）にも使えますか？
使えます。PSIRTプランでは、自社製品に含まれるOSSやライブラリをSBOMとして取り込み、製品ごとの脆弱性を継続的に管理できます。EUサイバーレジリエンス法（CRA）への対応や、CVE番号が付かないEOL・ゾンビOSSの検知にも対応しています。製造業のPSIRT向けには、別途PSIRT向けのご案内もご用意しています。